Fanvil x7a: Cross-Site Request Forgery im Request-Handler
Zusammenfassung
Der Request-Handler der Fanvil-x7a-Firmware 2.6.0.1182 erzwingt keinen Schutz gegen Cross-Origin-Zugriffe bei zustandsändernden Anfragen. Ein Angreifer kann dadurch die Cross-Origin-Grenze umgehen und Aktionen an beliebigen Endpunkten der Web-Verwaltungsoberfläche im Namen eines angemeldeten Benutzers auslösen. Voraussetzung ist, dass ein authentifizierter Administrator eine manipulierte Webseite besucht, während er am Gerät angemeldet ist.
Betroffen
- Fanvil x7a Firmware 2.6.0.1182 (gemäss CVE-Eintrag)
- Umfang unklar: Ein Drittanbieter-Advisory nennt für dieses Problem zusätzlich das PA2S SIP Gateway 2.12.44.9; die NVD-Referenzen verweisen auf das Firmware-Verzeichnis des X7A
Behoben in
Unbekannt.
Umgehung
- Keine vom Hersteller veröffentlichte Massnahme gefunden.
- Die Web-Oberfläche auf ein Management-VLAN oder bestimmte Administrator-IP-Adressen beschränken.
- Nicht benötigte Web- oder WebSocket-Dienste deaktivieren, sofern die Firmware dies erlaubt.
Ausnutzung
- CISA SSVC: öffentlicher Proof of Concept vorhanden, nicht automatisierbar, totale technische Auswirkung.
- CVSS 8.8 mit erforderlicher Benutzerinteraktion (UI:R).
- Gemäss letztem Stand nicht im CISA-KEV-Katalog.
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Prüfen, ob Fanvil-x7a- oder PA2S-Geräte im Einsatz sind und ob deren Web-Oberfläche aus unsicheren Netzen erreichbar ist.
- Beim Hersteller eine Firmware-Version anfragen, die dieses Problem behebt, und sobald verfügbar zeitnah einspielen.
- Den Zugriff auf die Verwaltung auf Admin-Netze beschränken und Administratoren darauf hinweisen, während der Anmeldung an Geräteoberflächen keine unsicheren Webseiten zu besuchen.
- Die Geräte auf unerwartete Konfigurationsänderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fanvil x7a firmware directory download.fanvil.com
- DarkPoint: Fanvil x7a & PA2S Vulnerability Disclosure www.darkpoint.ca
- Fanvil product page www.fanvil.com
- OpenCVE: CVE-2025-70517 app.opencve.io
- Strix: CVE-2025-70517 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.